Artan yapay zekâ, sosyal mühendislik ve bulut riskleri, sigorta şirketlerini risk transferinin ötesine itiyor ve siber güvenliğin kendisine daha derinlemesine müdahale etmeye zorluyor.
Tehdit ortamının durmaksızın evrilmesi, siber sigorta şirketlerini de güvenlik duruşu gerekliliklerini sürekli genişletmeye ve savunma sürecine aktif olarak müdahil olmaya itti.
Siber sigorta yıllardır var olsa da 2010’ların sonu ve 2020’lerin başında yaşanan fidye yazılımı patlaması, onu niş bir risk transfer ürününden birçok kuruluşun güvenlik stratejisinin merkezi bir bileşenine dönüştürdü. Bugün poliçeler olay müdahalesinden iş kesintisine, hukuki maliyetlerden ve bazı durumlarda fidye ödemelerine kadar her şeyi kapsıyor. Bu alanda sıkça görülen isimler arasında Coalition, Chubb, AXA XL, Cowbell ve Resilience bulunuyor.
Tehdit ortamı, özellikle kurumsal düzeyde konuşulduğunda, asla yavaş ilerlemedi. Ancak beş ya da on yıl önceki iş e-postası ele geçirme ve geleneksel fidye yazılımı saldırılarıyla kıyaslandığında teknikler hiç olmadığı kadar hızlı evriliyor; bu da sigorta şirketlerinin ayak uydurmak için daha çok çalışması gerektiği anlamına geliyor.
Büyük dil modelleri tehdit aktörlerinin karmaşık saldırıları koordine etmesini, kötü amaçlı yazılım ve açık geliştirme süreçlerini hızlandırmasını, yazım hatası olmayan kimlik avı tuzafları tasarlamasını ve şimdiye kadar mümkün olmayan ölçekte faaliyet göstermesini sağladı. Yapay zekâ, sigortacıların yıllardır hasar verilerine dayandırdığı fidye yazılımı ve veri gaspı saldırıları üzerine kurulu tehdit modellerine belirsizlik getiriyor. Sosyal mühendislikteki gelişmeler, saldırı sıklığını ve şiddetini tarihsel kayıp verilerinin hesaba katabileceğinden daha hızlı değiştirebilir.
Yapay zekâ dışında saldırganlar sürekli yeni sosyal mühendislik taktikleri geliştiriyor ve bulut kaynaklarının konsolide edilmesi, tehlikeye atılmış kimlik bilgileri ya da tek bir çalınmış API anahtarının yıkıcı sonuçlara yol açmasına neden olabiliyor.
Cowbell’de başkan yardımcısı olan Thomas Pytel, Dark Reading’e yaptığı açıklamada şirketinin sürekli olarak riske uyum sağlayan bir risk değerlendirme yaklaşımına inandığını söyledi. “Yapay zekâ kimlik avı ve taklit saldırıların hızını, ölçeğini ve inandırıcılığını değiştiriyor, bu yüzden yalnızca tarihsel kayıp deneyimi yeterli değil. Risk değerlendirmesi, bir işletmenin kimlikleri nasıl doğruladığını, ödemeleri nasıl yetkilendirdiğini ve kendi yapay zekâ kullanımını nasıl kontrol ettiğini değerlendirmeli” dedi.
Ulusal Sigorta Komisyoncuları Birliği’nin 2025 tarihli raporuna göre siber sigorta primleri 2024’te yaklaşık 15 milyar dolara ulaştı ve yıllık bazda yüzde 7 artış gösterdi. Ayrıca ABD pazarı için doğrudan yazılmış prim 2024’te yaklaşık 9,14 milyar dolara ulaştı; bu rakam birkaç yıl önce pazarı sadece küçük bir kesim oluştururken elde edilen tutarla kıyaslandığında sektörün ne kadar büyüdüğünü gösteriyor.
Aynı NAIC raporu, ABD’de 2024’te yaklaşık 50 bin talebin kaydedildiğini, bu rakamın rekor seviyede olduğunu ve yıllık bazda neredeyse yüzde 40 artış gösterdiğini belirtti. Bu durum, sigorta yaptıran müşteri sayısındaki artışa, saldırganların agresifliğine ya da her ikisine işaret ediyor olabilir.
Sektörün büyümesinin tehdit ortamını doğru modelleme yeteneğini aşıp aşmadığının ne olacağı ise henüz belli değil.
Daha geniş tehdit ortamı daha sıkı risk değerlendirme gereklilikleri getiriyor
Sigortanın popülaritesinin artması, teminat için belirli gerekliliklerin yükselişine de yol açtı; öncelikle sigorta müşterilerinden belirli bir siber güvenlik duruşu kalitesini sürdürmeleri isteniyor.
IANS fakültesi ve Bedrock Data’da baş güvenlik sorumlusu olan George Gerchow, Dark Reading’e birkaç yıl önce bu gerekliliklerin “kimsenin kontrol etmediği” kısa bir formda yer aldığını söyledi. Şimdi sigortacılar çok faktörlü kimlik doğrulama, uç nokta algılama ve müdahale, değişmez yedeklemeler ve ayrıcalıklı erişim kontrolleri bekliyor; “bazıları yıllık bir beyan yerine sürekli telemetriye geçiyor” dedi.
Coalition’da yeni risklerden sorumlu başkan Daniel Woods da aynı görüşte. Ransomware salgınının yaklaşık 2020’de etkisini göstermeye başladığı zamandan beri geçerli olan bu durumun, anlık anketlere dayalı geleneksel risk değerlendirme modellerinin hızla geride kaldığını söyledi.
Bu durum, kuruluşların siber sigortayı yama yapmanın, savunma derinliği uygulamanın ya da güçlü veri ve kimlik doğrulama kontrolleri kullanmanın yerine kullanabileceği endişesiyle gerçekleşti.
Daha iyi bir duruş her nereden gelirse gelsin nesnel olarak net bir fayda olabilir, ancak bu durum güvenliği aynı zamanda bir uyum egzersizine dönüştürme riski de taşır. Gerchow, bu gerekliliklerin kime sorulduğuna bağlı olarak böyle hissedilebileceğini söyledi.
“Sigorta, orta pazarda çok faktörlü kimlik doğrulama ve uç nokta algılama ve müdahalenin yaygınlaşmasında biz sahnede konuşanların hepsinden daha fazla rol oynadı ve bu kısım işledi” dedi. “Ama başvuru bir anlık görüntü ve çok sayıda ekip bunu geçmeyi amaç haline getiriyor. Sigortacı, talep zamanı geldiğinde açığı sizin için buluyor. Süresi dolmuş çok faktörlü kimlik doğrulama ya da test edilmemiş bir yedekleme, şimdi talebin reddedilmesinin en hızlı yollarından biri.”
Siber kayıp önleme firması Root Evidence’ın CEO’su Jeremiah Grossman, sigorta şirketlerinin her yıl kademeli olarak daha fazla uygulama talep ettiğini ve “birçok kişi için iyi çalıştığını” söyledi. Ancak kuruluşların risklerini doğru şekilde ölçmek ve modellemek için gerekli veriye sahip olmadıklarını, taşıyıcıların ise bunu yapma konusunda daha iyi bir konumda olabildiklerini belirtti.
“Kuruluşların risklerini doğru şekilde ölçmek ve modellemek için gerekli veriye sahip olmadıkları, taşıyıcıların ise bunu yapma konusunda sıklıkla daha iyi bir konumda oldukları” sorun olduğunu kaydetti.
Siber sigorta şirketleri aktif oyuncu haline geliyor
Bu alanda nispeten yeni bir gelişme, sigorta kuruluşlarının güvenlik sürecinde aktif katılımcı haline gelmesi oldu. Sigortacılar günümüzde geniş ölçüde çok faktörlü kimlik doğrulama, uç nokta algılama ve müdahale, yönetilen algılama ve müdahale ve doğrulanmış yedeklemeler gibi güvenlik ürünleri talep ederken, sigorta firmaları aynı zamanda müşterilerine doğrudan güvenlik ürünleri ve hizmetleri de sunuyor.
Coalition’ın teklifi örneğin otomatik algılama ve müdahale ürününe erişim sağlarken, Resilience risk yönetimi araçları sunuyor ve Cowbell risk değerlendirmesi, sızma testi ve eğitim gibi hizmetler veriyor. Bu firmaların tümü, onaylı ürünler ve olay müdahale hizmetleri önermek için diğer güvenlik satıcılarıyla da çalışıyor. Diğer taraftan Arctic Wolf gibi geleneksel güvenlik satıcıları da sigortalanabilirlik için özel ürünler sunuyor.
Coalition, “Aktif Sigorta” modelinin sektör ortalamasına kıyasla taleplerde yüzde 73 daha az sonuç verdiğini ve 2024’te bildirilen taleplerin yüzde 56’sının sigortalıların cebinden para çıkmadan çözüldüğünü savunuyor. Woods, tehdit ortamı yoğunlaştıkça, pasif olarak poliçe düzenleyip taleplerin primleri aşmamasını umarak hareket eden sigortacıların giderek daha kötü sonuçlarla karşılaşacağını söyledi.
“Çözüm, sigortacıların tehdit araştırmacılarını ve güvenlik uzmanlarını bünyelerine katmaları, tehdit ortamını izlemeleri ve poliçe yaşam döngüsü boyunca müşterilerin korumalarını aktif olarak iyileştirmelerine destek olmalarıdır” dedi. “Risk transferi siber sigortanın temel bir bileşeni olmaya devam ediyor, ancak devam eden koruma ve önleme de öyle.”
Bazı riskleri modellemek zor olmaya devam ediyor. Gerchow, yarın büyük bir bulut ya da kimlik sağlayıcısının devre dışı kalması ya da tehlikeye girmesi halinde piyasanın bunu absorbe etmekte zorlanacağını savundu ve “taşıyıcıların bunun farkında olduğunu” söyledi.
“Poliçe dilinin nereye gittiğine bakın: ilan edilmemiş bir çatışma olmadan ulus-devlet faaliyetlerine uygulanan savaş hariçleri, yaygın olay istisnaları ve bağımlı iş kesintisi için küçük alt limitler. CrowdStrike 2024’te saldırganın hiç olmadığı kötü bir güncellemeydi ve yine de tek bir sabah içinde uçuşları durdurdu ve hastaneleri felç etti” dedi. “Büyük bir kimlik sağlayıcısının gerçek bir şekilde tehlikeye girmesi, her alt müşterinin aynı anda adli inceleme, danışmanlık ve bildirim ihtiyacı duyacağı anlamına gelir. Bu hafta bir CISO olarak ben önce poliçedeki sistemik olay hariçlerini okuyorum ve o kaybın büyük bir kısmının benimle kalacağını varsayıyorum.”
